Dusting-атаки: як через «пил» відстежують гаманці

Іноді все починається з «подарунка» — кілька копійок у крипті, про які ви не просили і, швидше за все, навіть не помітили їх появи. Такі мікропереказі виглядають як шум: ні сенсу, ні користі, ні загрози. Проблема в тому, що це спосіб хакерів атакувати та викрасти активи. Криптовалютний «пил» — це мітка.

Вона потрібна, щоб подивитися, що одержувач зробить далі. Витратить — значить, дасть зв'язку адрес. Не помітить — значить, «пил» лежатиме в історії та стане зручною приманкою для підміни адреси. Користувач може помилитися відразу або трохи пізніше, в будь-якому випадку він ризикує втратити свої активи.

У цій статті розберемо, що таке dusting атака, розповімо реальні кейси викрадень величезних сум за допомогою відправки «пилу», а також які звички та інструменти захищають кошти й дані.

Коротко про головне

• Dusting-атака починається з мікропереказу. Зловмисники розсилають крихітні суми криптовалюти на тисячі адрес, щоб помітити гаманці та підготувати ґрунт для аналізу.
• «Пил» використовується для відстеження поведінки. Коли користувач витрачає кошти й випадково включає dust-вхід, з'являються дані для зв'язування адрес між собою.
• Адреси об'єднуються в кластери. Через ончейн-аналіз атакуючі визначають, які гаманці належать одному власнику, та оцінюють масштаб його активності.
• Атаки виходять за рамки стеження. Dusting-атаки все частіше використовуються разом із address poisoning, фішингом та підміною адрес, перетворюючись на інструмент прямого викрадення коштів.
• Помилки, спровоковані «пиловими» транзакціями, вже призводили до втрати сотень тисяч і десятків мільйонів доларів. Захист будується на контролі та дисципліні. . Невикористання dust-входів, перевірка адрес та застосування гаманців із розширеним контролем значно знижує ризики, особливо в корпоративному середовищі.

Що таке dusting-атака

Dust-атака (або пилова атака криптовалюти) — це метод деанонімізації власників криптовалютних гаманців. Зловмисник відправляє крихітні суми криптовалюти — «пил» (dust) — на велику кількість адрес, а потім відстежує, як ці суми витрачаються в майбутньому.

Термін «пил» у криптовалютному середовищі позначає настільки малі суми, що їх вартість часто не покриває навіть комісію за переказ. Наприклад, у мережі Bitcoin це може бути 546 сатоші або менше, в Ethereum — кілька Gwei. Саме ця незначність і робить атаку непомітною для жертви.

Як працює dusting атака: механізм крок за кроком:

1. Масова розсилка пилу. Атакуючий відправляє мікроскопічні суми на тисячі і навіть мільйони адрес. Ці транзакції публічно записуються в блокчейн.
2. Період очікування. Шахраї чекають, поки власники адрес почнуть проводити звичайні операції зі своїми гаманцями.
3. Відстеження руху коштів. Коли користувач витрачає свої криптоактиви і випадково включає в транзакцію отриманий «пил», атакуючий отримує цінну інформацію.
4. Аналіз та деанонімізація. Через аналіз блокчейну зловмисники виявляють зв'язки між різними адресами одного власника, будують граф транзакцій та намагаються встановити особу користувача.

Згідно з дослідженням Gemini, dust-атаки на криптогаманці вперше були помічені ще у 2018 році, але з тих пір значно еволюціонували за складністю та масштабом.

Чим небезпечні dusting-атаки

На перший погляд може здатися, що отримання кількох центів у криптовалюті — це нешкідливо. Однак наслідки можуть бути серйозними:

Деанонімізація

Шляхом зіставлення dust-транзакцій із подальшими переказами зловмисники вибудовують зв'язки між гаманцями. Це дозволяє:

• Визначити, які адреси належать одній людині або організації.
• Оцінити загальний баланс та активність користувача.
• Зв'язати криптоадреси з реальною особою через біржі, IP-адреси або інші метадані.

Еволюція атак: від стеження до прямих втрат

Сучасні dust-атаки в крипті вийшли за рамки простого спостереження. Вони стали частиною багатоступеневих схем:

• Атака з отруєнням адреси (address poisoning). Шахраї створюють адреси, схожі наті, якими користується жертва (збігаються перші та останні символи). Після відправки dust-транзакції така адреса з'являється в історії гаманця. Коли користувач копіює адресу з історії, він помилково відправляє кошти зловмисникам.
• Фішинг через memo-поля. Деякі блокчейни (наприклад, TRON) дозволяють додавати текстові нотатки до транзакцій. Атакуючі використовують це для розміщення фішингових посилань, які бачить одержувач dust-переказу.
• Цільові атаки на великих утримувачів. Виявивши власника великого капіталу через dust-аналіз, шахраї можуть організувати персоналізовану фішингову кампанію або навіть фізичне переслідування.

Реальні кейси dusting-атак

Dust-атаки вже принесли хакерам десятки мільйонів доларів. Ось три гучні кейси шахрайства, де відправка «пилу» була лише першим кроком.

Кейс: від мікропереказу до крадіжки 170 тис. USDT у TRON

У вересні 2023 року користувач мережі TRON став жертвою витонченої схеми з отруєнням адреси. Зловмисники відправили на його гаманець мікроскопічну суму USDT — настільки малу, що жертва навіть не звернула уваги на сповіщення.

Потім шахраї створили адресу-клон: перші п'ять і останні чотири символи збігалися з адресою, на яку користувач регулярно відправляв кошти. Підставна адреса з'явилася в історії транзакцій одразу під легітимною.

Через кілька днів, коли користувач здійснював чергову транзакцію, він відкрив історію гаманця, побіжно глянув на початок і кінець адреси, скопіював її та відправив ~$170 тис. USDT напряму шахраям.

Втрата $68 млн через address poisoning

Цей випадок став одним із найдорожчих в історії криптовалютного шахрайства, пов'язаного з dust-атаками. У травні 2024 року власник великого гаманця втратив $68 млн у результаті цілеспрямованої кампанії address poisoning.

Атака була багатоетапною та ретельно спланованою. Шахраї протягом кількох тижнів відстежували активність жертви, вивчали патерни її транзакцій та виявили найчастіше використовувані адреси одержувачів.

Потім зловмисники створили кілька адрес-двійників та почали масований розсилку dust-транзакцій. Щодня на гаманець жертви приходили мікроскопічні суми з підставних адрес, засмічуючи історію операцій.

Коли користувач проводив черговий великий переказ на 714 WBTC (Wrapped Bitcoin), він не помітив підміни. Адреса виглядала знайомою: ті самі перші та останні символи і вже наявні транзакції за його участю в історії. Кошти пішли безповоротно.

Масштабна атака зі втратами $10 млн+

Наприкінці жовтня 2025 року аналітична компанія TRM Labs у своєму звіті описала масштабну кампанію шахраїв, яка зачепила сотні тисяч користувачів мережі TRON. Особливість цієї атаки полягала в її комбінованому характері. Зловмисники використовували три вектори одночасно:

• Класичний dusting. Масова розсилка мікроскопічних сум TRX для деанонімізації користувачів та побудови графа зв'язків між гаманцями.
• Address poisoning. Створення адрес-клонів та їх впровадження в історію транзакцій жертв. За період спостереження експерти TRM Labs зафіксували створення понад двох мільйонів підставних адрес.
• Фішинг через memo-поля. У мережі TRON кожна транзакція може містити текстове поле з нотаткою. Шахраї використовували це для розміщення повідомлень із фішинговими посиланнями: «Отримайте вашу винагороду [посилання]» або «Верифікуйте ваш гаманець, щоб уникнути обмежень: [посилання]».

Ця кампанія призвела до підтверджених втрат понад $10 млн. Реальна цифра, ймовірно, значно вища, оскільки багато жертв не повідомляють про інциденти.

Що робить ці приклади особливо показовими — це еволюція самої загрози. Якщо у 2018-2019 роках dust-атаки були інструментом аналітики, то до 2026 року вони стали повноцінною зброєю кіберзлочинців, що приносить їм десятки мільйонів доларів.

Як розпізнати dusting-атаку

Виявити dust-атаку на ранній стадії не завжди просто, але є кілька ознак:

• Несподівані мікроскопічні надходження. Якщо на ваш гаманець прийшла транзакція з сумою в кілька центів або навіть часток цента, яку ви не очікували — це привід насторожитися.
• Множинні dust-транзакції. Отримання кількох мікроплатежів у короткий період часу — характерна ознака атаки.
• Дивні адреси відправників. Dust зазвичай приходить з адрес, які не мають довгої історії транзакцій або виглядають випадково згенерованими.
• Схожі адреси в історії. Якщо в історії транзакцій з'явилися адреси, дуже схожі на ті, з якими ви часто працюєте, але ви їх не додавали — це ознака address poisoning.
• Підозрілі memo-нотатки. Посилання, рекламні повідомлення або заклики до дії в текстових полях транзакцій мають викликати підозру.

За даними Coinbase, користувачі Bitcoin та Ethereum-гаманців отримують dust-транзакції найчастіше в періоди високої активності ринку, коли зловмисникам простіше загубитися в загальному потоці операцій.

Захист від dusting атак

Тепер про головне — як захистити себе та свої активи. Заходи безпеки діляться на базові для всіх користувачів та просунуті для бізнесу.

Для індивідуальних користувачів

1. Не витрачайте «пил» разом з основними коштами

Найважливіше правило: не включайте підозрілі dust-входи у свої транзакції. Якщо «пил» залишиться недоторканим, атакуючі не зможуть зв'язати ваші адреси.

2. Використовуйте гаманці з функцією Coin Control

Багато сучасних гаманців (наприклад, Electrum, Wasabi Wallet, Bitcoin Core) дозволяють вручну вибирати, які саме входи використовувати в транзакції. Ви можете позначити dust-активи та виключити їх із витратних операцій.

3. Застосовуйте HD-гаманці

HD-гаманці (Hierarchical Deterministic) автоматично генерують нову адресу для кожної транзакції. Це значно ускладнює відстеження та зв'язування ваших операцій, навіть якщо на одну з адрес потрапив «пил».

4. Перевіряйте адреси повністю

Ніколи не копіюйте адреси з історії транзакцій, якщо не впевнені в їх справжності. Завжди звіряйте не тільки перші та останні символи, а й кілька знаків із середини, а краще взагалі всю адресу з оригіналом.

Для бізнесу: корпоративні рішення

Компанії, що працюють із криптовалютою, стикаються з додатковими ризиками. Dust-атака на корпоративний гаманець може призвести до витоку інформації про контрагентів бізнесу та фінансові потоки. Це надзвичайно небезпечно і може загрожувати навіть фізичною атакою на компанію.

Один із клієнтів BitHide помітив, що на його адреси почали регулярно надходити несподівані мікропереказі криптовалюти. На перший погляд це виглядало як мережевий шум, однак повторюваність і характер надходжень викликали закономірне питання: що відбувається і чи несе це ризик.

Нашій команді не довелося довго аналізувати ситуацію, щоб зрозуміти, що мова йде про dusting-атаку. Ми роз'яснили клієнту механізм таких атак, можливі наслідки та нагадали про доступні інструменти BitHide, які дозволяють захиститися:

• Рольовий доступ до гаманця. Не всі менеджери компанії можуть ініціювати перекази — тільки авторизовані співробітники з відповідними правами. Це знижує ймовірність помилки через неуважність.
• Подвійне підтвердження відправки коштів. Кожна транзакція вимагає підтвердження уповноваженої особи. Навіть якщо один співробітник помилиться й вкаже шахрайську адресу, другий помітить невідповідність.
• Автоматизація масових виплат. Файл з адресами одержувачів заздалегідь узгоджується та перевіряється. Після підтвердження система автоматично виконує перекази. Людський фактор та ймовірність скопіювати підставну адресу з історії зводяться до мінімуму.
• Унікальні адреси для кожного клієнта. BitHide генерує окрему адресу для кожного переказу вашого клієнта. Головної центральної адреси, на якій зберігаються великі суми, просто не існує.

Такий підхід особливо важливий для компаній, що проводять десятки або сотні криптотранзакцій щодня.

Висновок

Що таке пилова атака? Це інструмент деанонімізації, який еволюціонував у складну схему шахрайства, здатну призводити до втрати мільйонів доларів.

Основні висновки:

• Dust-атаки націлені на вашу приватність, а через неї — на ваші кошти.
• Сучасні схеми з address poisoning спираються на неуважність користувачів.
• Прості застережні заходи (не витрачати dust, перевіряти адреси, використовувати HD-гаманці) значно знижують ризики.
• Для бізнесу критично важливі корпоративні рішення з багаторівневим контролем.

Криптовалютний простір стає все більш небезпечним. Захист від dusting атак починається з обізнаності та закінчується використанням правильних інструментів. Будьте уважні до несподіваних надходжень, перевіряйте адреси повністю та не ігноруйте базові заходи безпеки — вони справді працюють.

А щоб дізнатися докладніше, як BitHide допоможе з вирішенням завдань вашого бізнесу, зв'яжіться з нашою командою.